Fotos usadas como prova editadas por IA: banco canadense com 1.505 imagens mostra que detectores atuais falham

Um grupo de 13 pesquisadores das universidades de Toronto, Waterloo, British Columbia, Western Ontario e Ottawa, no Canadá, com Kelly McConvey, da University of Toronto, como primeira autora, publicou no arXiv em 29 de setembro de 2026 o artigo “A Benchmark & Dataset for Detecting AI-Manipulated Visual Evidence in the Court System”, que apresenta um banco público de imagens para testar se os sistemas de autenticação reconhecem fotos de prova alteradas por inteligência artificial.

O trabalho consta como artigo de cinco páginas da 35ª ACM International Conference on Information and Knowledge Management (CIKM 2026), marcada para 7 a 11 de novembro de 2026 em Roma, e foi financiado pela rede de pesquisa Safeguarding Courts from Synthetic AI Content, por meio do programa de pesquisa do Canadian AI Safety Institute no CIFAR.

O problema: a edição local feita por leigo

Os autores partem do tipo de foto que chega aos processos, como o quadro de câmera de segurança apresentado para mostrar que alguém esteve num lugar, a imagem de câmera veicular usada para reconstruir um acidente de trânsito e a foto de celular que documenta um dano, uma lesão ou o estado de um local.

Segundo o artigo, a manipulação de foto nunca foi novidade, mas exigia ferramenta especializada e habilidade técnica, enquanto os sistemas atuais de geração de imagem permitem que uma parte, uma testemunha ou um terceiro mude as condições da cena, insira ou retire um objeto ou crie uma imagem inteira só digitando um pedido.

O risco que os autores destacam não é só a imagem toda sintética, e sim a edição local numa foto comum, como tirar uma pessoa de um quadro de câmera de segurança, mudar uma placa ou a cor de um semáforo numa imagem de câmera veicular ou acrescentar ou apagar um dano numa foto de celular, mudanças que alteram o que a imagem parece provar e mantêm quase todo o resto da cena.

O texto lembra ainda o efeito chamado por Robert Chesney e Danielle Citron de “dividendo do mentiroso” (liar’s dividend), em que a própria facilidade de falsificar torna mais fácil desacreditar uma prova verdadeira, e por isso os tribunais precisam tanto detectar o falso quanto preservar a confiança no autêntico.

Como o banco foi montado

O banco, chamado CIFAR Synthetic Evidence Corpus, tem 1.505 imagens, sendo 720 autênticas, que servem de controle, e 785 manipuladas ou fabricadas, divididas em três famílias de prova: câmera de segurança, câmera veicular e foto de consumidor.

As manipulações seguem três níveis: o primeiro muda as condições da cena (hora do dia, clima, iluminação e quantidade de pessoas), o segundo edita um elemento (trocar ou acrescentar objeto, retirar pessoa, placa ou veículo, mudar a cor do semáforo, acrescentar ou apagar dano) e o terceiro fabrica a imagem inteira a partir do pedido escrito, com 349, 301 e 135 imagens em cada nível.

As fotos de origem vieram de bases públicas de pesquisa, a VIRAT e a UCF-Crime para câmera de segurança, a BDD100K para câmera veicular e a CASIA v2.0 para foto de consumidor, e os autores escreveram 27 modelos de pedido que imitam um leigo usando um aplicativo comum, cada um pedindo uma única mudança e a preservação do resto da cena.

As imagens alteradas foram produzidas com o GPT Image 2, com o Gemini 3.1 com Nano Banana 2 e com o Firefly 5, este último usado pela interface comum ao consumidor, e há ainda um conjunto menor, chamado Hero, com edições refinadas à mão no Photoshop e no ChatGPT, que representa um adversário disposto a caprichar.

Cada imagem vem com metadados de origem, família, nível e subtipo de manipulação, gerador, modelo de pedido e atributos da cena, o que permite ver quais mudanças são detectadas, quais passam e quais fotos autênticas geram falso alarme, além da simples taxa de acerto geral.

O teste dos detectores

Os autores rodaram quatro detectores públicos de imagem sintética, sem nenhum treino adicional e com o limiar de decisão que vem de fábrica, sobre as 1.505 imagens, tratando a tarefa como decisão binária entre autêntica e manipulada.

O desempenho foi baixo em todos, e o melhor, o d3, chegou a 0,674 de área sob a curva ROC, medida em que 0,5 equivale ao acaso e 1 a uma separação perfeita, enquanto os outros três, univfd, drct e cnnspot, ficaram entre 0,621 e 0,643.

No limiar padrão, o d3 pegou 47% das manipulações e marcou como manipuladas 22% das fotos autênticas, e o cnnspot quase não acusou nada, com revocação de 0,003.

Os autores afirmam que acusar falsamente uma prova genuína é o erro mais danoso num tribunal e que, por isso, um teste para autenticação de prova precisa relatar a estrutura dos erros, e não só a acurácia geral.

No detalhe do d3, as imagens de câmera veicular foram as mais difíceis, com área sob a curva de 0,55, contra 0,69 nas de câmera de segurança e 0,78 nas fotos de consumidor, e a revocação por gerador variou de 0,46 a 0,71.

O conjunto Hero foi o caso mais revelador, porque as edições refinadas à mão no Photoshop receberam notas de manipulação muito baixas, a menor delas de 0,04, e passaram inteiramente pelo detector, o que os autores tratam como prova direta de que um adversário motivado consegue vencer os sistemas atuais.

Limites e cuidados declarados

Os autores dizem que o banco complementa, e não substitui, os conjuntos já existentes de falsificação de rosto e de adulteração clássica, e que não pretendem que a detecção sozinha resolva o problema jurídico.

A triagem das imagens geradas foi feita durante a produção, refazendo as que não mostravam a mudança pedida ou saíam visivelmente degradadas, mas não houve anotação formal, de modo que o artigo não informa concordância entre avaliadores.

Pelo texto, nenhuma imagem vem de processo judicial real, foi usado só o subconjunto de atividades normais da UCF-Crime e nenhuma manipulação foi feita para colocar uma pessoa identificável num lugar real ou atribuir a ela uma conduta.

O que isso muda para a perícia

Para o perito que examina foto anexada a processo, o estudo mostra que um detector automático usado no limiar de fábrica pode deixar passar mais da metade das edições e ainda apontar como alterada mais de uma em cada cinco fotos verdadeiras, e que a edição local feita em aplicativo comum é justamente o caso em que esses sistemas mais falham.

O banco, os pedidos, os metadados, o código e os roteiros de avaliação foram publicados pelos autores para uso em pesquisa, com DOI no repositório Zenodo.